🇰🇷 한글 설명
Apache Pulsar WebSocket Proxy에서 인증이 제대로 이루어지지 않는 취약점이 발견되었습니다. 공격자가 인증 없이 /pingpong 엔드포인트에 접속할 수 있어 서비스 거부(DoS) 공격이나 과도한 데이터 전송을 유발할 수 있습니다.
💡 쉬운 설명
인증 절차 없이 특정 통신 통로에 접속할 수 있는 보안 허점이 발견되었습니다. 이를 통해 공격자가 시스템에 과부하를 주거나 데이터를 과도하게 사용하게 만들어 서비스를 방해할 수 있습니다.
🇺🇸 원문 (English)
Improper Authentication vulnerability in Apache Pulsar WebSocket Proxy allows an attacker to connect to the /pingpong endpoint without authentication.
This issue affects Apache Pulsar WebSocket Proxy: from 2.8.0 through 2.8.*, from 2.9.0 through 2.9.*, from 2.10.0 through 2.10.4, from 2.11.0 through 2.11.1, 3.0.0.
The known risks include a denial of service due to the WebSocket Proxy accepting any connections, and excessive data transfer due to misuse of the WebSocket ping/pong feature.
2.10 Pulsar WebSocket Proxy users should upgrade to at least 2.10.5.
2.11 Pulsar WebSocket Proxy users should upgrade to at least 2.11.2.
3.0 Pulsar WebSocket Proxy users should upgrade to at least 3.0.1.
3.1 Pulsar WebSocket Proxy users are unaffected.
Any users running the Pulsar WebSocket Proxy for 2.8, 2.9, and earlier should upgrade to one of the above patched versions.
📍 영향받는 시스템
Apache Pulsar WebSocket Proxy (2.8.0~2.8.*, 2.9.0~2.9.*, 2.10.0~2.10.4, 2.11.0~2.11.1, 3.0.0)
⚔️ 공격 벡터
인증 없이 /pingpong 엔드포인트에 연결하여 서비스 거부(DoS) 또는 데이터 과다 전송 유도
🛡️ 대응 방법
버전별 권장 패치 버전(2.10.5, 2.11.2, 3.0.1 이상)으로 업그레이드 수행
🔧 검증 코드
명령어 실행 결과에 취약한 버전 범위가 출력되면 해당 시스템은 패치가 필요한 상태입니다.
pulsar-client --version | grep -E '2.8|2.9|2.10.[0-4]|2.11.[0-1]|3.0.0'